数规观察 · 研究报告

文旅体育行业数据合规研究报告

——基于基层监管视角的发现与建议

一个区的文旅 App 要采集多少个人信息？辖区内上百家健身场馆的人脸识别闸机，谁在管、怎么管？当游客在景区被强制"刷脸"、当家长为孩子报名研学被收集人脸、当健身会员退卡后人脸信息依然留存——这些场景正频繁出现在基层文旅体部门的日常监管视野里。文旅体育行业同时承载公共文化服务与商业经营，触点多、链条长、未成年人密集，是当前个人信息保护的突出风险地带。本报告从文化广电旅游体育等基层监管部门视角出发，梳理行业数据画像、现行法规适用与监管职责边界，列出最该盯紧的典型问题清单，并给出可落地的履职路径与建议。

目 录

一、为什么基层文旅体部门要管数据合规

二、行业数据画像（文旅 App 与健身场馆）三、法规适用与监管职责划分

四、基层监管发现的典型问题清单五、违法违规的法律后果

六、基层监管履职路径与建议七、运营者合规要点

八、专业机构赋能与长效机制

一、为什么基层文旅体部门要管数据合规

1. 职责依据：已从"可管可不管"变为"分内之责"

· 国务院办公厅《关于进一步加强旅游市场综合监管的通知》（国办函〔2025〕95号）明确：文化和旅游部门"依法承担规范旅游市场秩序、维护游客和旅游经营者合法权益的责任"，并督促在线旅游平台与旅游经营者加强个人信息保护。· 景德镇案（2025）：检察机关明确"市文旅局负有维护旅游市场基本秩序及旅游行业个人信息保护的监管职责"——这是基层文旅部门被直接认定负有数据保护监管职责的典型判例。· 《在线旅游经营服务管理暂行规定》第十四条、第十五条：在线旅游经营者应保护旅游者个人信息、事先明示并经同意；不得滥用大数据分析设置不公平交易条件（大数据杀熟）。· 体育侧：《山东省体育健身服务行业预付式消费管理办法》（2025）第五条明确，经营者"依法保护消费者的个人信息，不得过度收集，不得采用一次概括授权、默认授权等方式强制收集"。

2. 现实压力：问题就长在基层的"责任田"里

· 区文旅部门建设或主管的文旅 App（景区预约、文化场馆、活动报名）本身就是个人信息处理者；· 辖区内大量健身场馆由体育部门行业管理，人脸入场、预付卡、未成年人培训数据高度集中；· 强制刷脸、信息泄露、黄牛倒卖等频发，检察公益诉讼已把文旅体部门推向责任主体。

核心判断

数据合规已从"网信部门一家之事"转变为"行业主管部门的分内之责"。基层文旅体部门"躲不开、也管得了其中一块"——以行业管理为抓手、协同网信与公安，是现实可行的履职路径，而非"等网信来管"。

二、行业数据画像：文旅 App 与健身场馆在收集什么

（一）文旅 App / 景区场馆在收集

· 实名信息：姓名、身份证号、手机号（景区/场馆实名预约）；· 行踪轨迹：定位、入园/入场时间与地点；· 生物识别：人脸（刷脸入园、年卡激活）；· 支付与关系：支付记录、同行人/紧急联系人；· 偏好画像：浏览与消费记录（用于个性化定价，即"杀熟"风险）；· 未成年人：研学、少儿活动的姓名/学校/人脸信息。

（二）健身场馆在收集

· 会员实名、人脸（入场、更衣室柜、私教签到）；· 健康数据：体测、心率、运动记录；· 支付与预付卡、紧急联系人；· 未成年人：少儿体适能、游泳培训高度密集。

（三）处理路径风险地图

文旅体育的个人信息并不在单一系统，而是散布于七类路径：① App / 小程序；② 第三方票务平台（美团/抖音/携程）；③ 现场闸机与人脸设备；④ 会员管理系统（常由第三方远程维护）；⑤ 纸面登记本；⑥ 微信/社群；⑦ 公共视频监控（含抓拍）。其中"第三方远程维护"与"纸面登记"最易脱离机构管控。

关键认知

数据散、链条长、第三方多、未成年人密集——这四点决定了基层监管不能只看"有没有制度文本"，要看"数据从哪来、到哪去、谁经手、存哪、怎么删"。

三、法规适用与监管职责划分

（一）主要法规与标准清单

（二）监管职责矩阵（基层视角）

基层视角核心矛盾

文旅体部门"看得到问题、有行业主管地位，但缺乏个人信息保护的专属处罚权"。主要抓手是：行业管理（规范/合同/年审）+ 行政指导与整改通知 + 协同网信公安 + 配合检察公益诉讼——而非单打独斗式的直接处罚。

四、基层监管发现的典型问题清单

下列每条均含"场景—违规点—依据/案例"三要素，供基层编制检查表与整改通知直接引用。

板块一 · 文旅领域

问题1　景区/场馆强制刷脸入园（年卡尤甚）

场景：北京某游乐园年卡须"刷脸"作为唯一验证；浙江 G 旅游（湖州民事公益诉讼）；重庆 M 景区收集 46 万条人脸且长期未删除（涪陵公益诉讼）。

违规点：违反《人脸识别技术应用安全管理办法》第十条（不得将人脸作为唯一验证方式）、第五条/第六条（告知与单独同意）。

依据：办法第十条"实现相同目的或者达到同等业务要求，存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式"。

问题2　景区抓拍出售游客视频/肖像

场景：部分景区拍摄服务通过人脸比对查找并出售游客短视频（"科艺智拍""狐獴 vlog"等被媒体曝光）。

违规点：未经同意制作/使用肖像；人脸信息处理无单独同意；可能涉及未成年人。

依据：《民法典》肖像权条款；《个人信息保护法》《人脸识别技术应用安全管理办法》《未成年人网络保护条例》。

问题3　文旅 App 过度收集 / 强制索权 / 捆绑授权

场景：天津"海河护网·安心畅游"专项行动治理文旅 App/小程序过度收集、强制索权——超范围收集位置、通讯录等。

违规点：违反"最小必要"原则；一次概括授权、默认勾选。

依据：《个人信息保护法》第六条、第十三条/第十四条（同意规则）；《网络数据安全管理条例》。

问题4　在线旅游"大数据杀熟"

场景：国办函〔2025〕95号点名"不得以大数据杀熟、虚假宣传、捆绑销售等行为侵害游客权益"。

违规点：基于消费记录/偏好设置不公平交易条件。

依据：《在线旅游经营服务管理暂行规定》第十五条。

问题5　黄牛/旅行社滥用游客信息

场景：景德镇案——"黄牛"及旅行社违法使用他人姓名+身份证抢票、倒卖预约凭证。

违规点：游客敏感个人信息被违法滥用；文旅局被认定负有监管职责。

依据：检察建议→全市票务专项整治、打掉黄牛团伙、设黑名单机制。

问题6　文博/活动收集未成年人信息无专门规则

场景：研学、少儿活动报名收集人脸/学校信息，无专门处理规则与监护人同意。

违规点：不满十四周岁未成年人信息属敏感个人信息，须专门规则+监护人同意+影响评估。

板块二 · 体育健身领域

问题7　健身房强制刷脸入场

场景：重庆荣昌健身房收集 1000 余条人脸（含大量未成年人）；北京/昌平多家健身房被拆设备；上海 6300 余家健身场所整改。

违规点：违反办法第十条；未提供替代验证方式。

依据：多地为公共场所确立"不刷脸为原则、刷脸为例外"。

问题8　更衣室/淋浴间刷脸开柜

场景：上海游泳馆更衣室人脸开柜被网信办警告处罚；某健身房更衣室刷脸。

违规点：办法第十三条禁止在公共更衣室等私密空间安装人脸设备。

问题9　人脸信息只收不删

场景：会员卡失效后人脸仍存储；系统由第三方远程维护。

违规点：违反办法第八条（保存期限不超过实现目的所必需最短时间）。

问题10　预付卡办理过度收集个人信息

场景：办健身卡捆绑采集与经营无直接关系的信息。

违规点：违反《山东省体育健身服务行业预付式消费管理办法》第五条（禁止概括/默认授权强制收集）。

问题11　健身 App 健康数据保护不足、未成年人密集

违规点：体测/心率等健康数据保护薄弱；少儿体适能、游泳培训场景未成年人集中，缺专门规则。

问题12　场馆转让/倒闭后人脸及会员数据去向不明

场景：松江检察院发现健身机构未将预付卡信息对接监管平台；门店转让后老会员人脸数据归属不清。

违规点：数据资产转让无合规安排；停业后未依法删除。

五、违法违规的法律后果

· 行政责任：《个人信息保护法》第六十六条——一般违法责令改正、警告、没收违法所得，拒不改正处 100 万元以下罚款；情节严重处 5000 万元或上一年度营业额 5% 罚款，并可停业、吊销许可。《人脸识别技术应用安全管理办法》第十八条衔接处理。· 民事责任：肖像权侵权、损害赔偿；大量案件由检察机关提起公益诉讼。· 刑事责任：非法获取、出售、提供公民个人信息，构成侵犯公民个人信息罪。· 信用惩戒：行政处罚纳入信用记录，影响评星、评优与经营资格。

全国典型案例（时间线）

六、基层监管履职路径与建议

（一）五步履职路径

1 摸清底数：建立"数据合规台账"——辖区内文旅 App/小程序、A 级景区、健身场馆、票务系统、人脸设备清单，标注是否达 10 万人备案阈值。

2 协同治理：联合网信办、公安开展专项（参照天津"海河护网"模式）；共建信息共享与投诉通道（12345 + 网信投诉模块）。

3 行政指导 + 整改：对运营者发整改通知、签承诺书、组织培训（参照昌平/荣昌做法）。

4 线索移送 + 公益诉讼衔接：涉嫌犯罪/严重违法移送公安、网信；配合检察院公益诉讼（景德镇/松江模式）。

5 长效机制：把数据合规纳入行业准入/年审/评星；智慧监管平台归集数据（信阳模式）；预付卡资金监管对接。

（二）给区文旅体局的可落地清单

· 把"不得强制刷脸、不得作为唯一验证"写入景区/场馆行业规范与合同示范文本；· 文旅 App 上线前做个人信息保护影响评估（PIA）；· 推动人脸设备备案（达 10 万人阈值向省级网信部门备案）；· 将个人信息保护纳入旅行社/健身场所日常检查表；· 与网信办共建投诉举报闭环，明确移交与反馈时限。

七、运营者合规要点

通用义务：最小必要、单独同意、充分告知、影响评估、加密与去标识化、删除机制、第三方协议审查、未成年人专门规则；合规审计（100 万/1000 万阈值）；适用《小型个人信息处理者规定》的简化措施≠降低保护标准。

健身场馆：提供非人脸验证（手环/会员码/身份证）；更衣室禁用人脸；退卡即删数据；预付卡不捆绑过度收集。

文旅 App/景区：不超范围收集；明示目的与替代方式；不杀熟；人脸仅必要场景且定期删除。

八、专业机构赋能与长效机制

专业机构能做什么：现状诊断与数据资产盘点、差距分析、制度建设、影响评估与合规审计辅导、技术整改、全员培训、应急响应、年度陪伴式合规。

长效机制：以 GB/T 35770-2022《合规管理体系 要求及使用指南》搭建数据合规管理体系；以 GB/T 47432-2026《合规管理体系 有效性评价》验收成效——把"运动式整改"变为"制度化常态"。

申明：本文基于《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》《人脸识别技术应用安全管理办法》《在线旅游经营服务管理暂行规定》及公开执法案例撰写，仅供合规参考，不构成法律意见。